6 La conformité du stockage cloud hybride est souvent le point où les bonnes intentions se heurtent à la réalité. Une organisation décide que les données réglementées restent sur site et que les données moins sensibles peuvent utiliser des services cloud, puis découvre lors d’un audit que les sauvegardes sont répliquées dans une autre région, que les journaux partent vers un service de supervision étranger, que les clés de chiffrement sont détenues par un fournisseur et que personne ne sait exactement quels buckets contiennent des données personnelles. Aucun de ces problèmes n’a rien d’exotique. Ils naissent des zones grises entre des environnements dont aucune équipe n’est seule responsable. Cet article présente sept contrôles de conformité concrets pour le stockage cloud hybride. Chaque contrôle précise ce qu’il faut vérifier, pourquoi les régulateurs et les auditeurs y tiennent, et à quoi ressemble une bonne pratique. Utilisez-le pour passer en revue un environnement hybride existant ou pour en concevoir un nouveau. Pour l’architecture qui sous-tend ces contrôles, consultez notre article sur le stockage cloud hybride pour les secteurs réglementés. Contrôle 1 : chaque jeu de données est classifié et associé à un emplacement autorisé Ce qu’il faut vérifier : il existe un inventaire des jeux de données significatifs, chacun doté d’une classification (par exemple public, interne, confidentiel, réglementé, souverain), des règles qui s’y appliquent et des environnements où il peut être stocké. Pourquoi c’est important : les régulateurs et les autorités de protection des données attendent des organisations qu’elles sachent quelles données elles détiennent et où. La classification est aussi le socle de tous les autres contrôles. À quoi ressemble une bonne pratique : Un registre des données reliant buckets, applications et responsables aux classifications. Des règles de placement par classification, et par pays le cas échéant. Des tags ou des conventions de nommage des buckets qui reflètent la classification. Un processus de revue lorsque de nouveaux jeux de données ou de nouvelles applications apparaissent. Contrôle 2 : données, copies, métadonnées et journaux restent là où ils doivent être Ce qu’il faut vérifier : les données primaires, répliques, sauvegardes, snapshots, métadonnées, journaux et données de télémétrie de chaque jeu de données réglementé ne sont stockés que dans des emplacements autorisés. Pourquoi c’est important : de nombreux manquements à la conformité concernent les données secondaires. Une sauvegarde répliquée dans une autre région, ou des archives de diagnostic envoyées à l’étranger, peuvent enfreindre les règles de protection des données, de souveraineté ou sectorielles, même lorsque les données primaires sont correctement placées. À quoi ressemble une bonne pratique : Des règles de réplication et de hiérarchisation configurées explicitement, et non laissées par défaut. Des régions cloud restreintes par politique pour les buckets réglementés. Des outils de supervision et de support passés en revue pour repérer les flux de données hors des emplacements autorisés. Des tests périodiques qui retracent où se trouvent réellement un jeu de données échantillon et ses copies. Contrôle 3 : les archives réglementées et les sauvegardes sont immuables Ce qu’il faut vérifier : les données qui ne doivent être ni modifiées ni supprimées, comme les archives réglementées, les enregistrements de communications, les éléments de preuve et les sauvegardes, sont protégées par un verrouillage d’objet en mode conformité (Object Lock) ou par des contrôles équivalents, dans chaque environnement où elles sont stockées. Pourquoi c’est important : des règles telles que la SEC 17a-4 pour les courtiers américains et les obligations d’archivage de MiFID II exigent que les enregistrements soient protégés contre toute altération. Les attaquants par ransomware ciblent d’abord les sauvegardes. Une copie immuable sur site perd tout son intérêt si la copie cloud peut être supprimée. À quoi ressemble une bonne pratique : Un Object Lock en mode conformité pour les archives réglementées, avec une durée de rétention alignée sur la politique. Des sauvegardes immuables dans au moins un environnement isolé des identifiants de production. Des procédures de conservation légale (legal hold) qui fonctionnent dans tous les environnements. La preuve que les administrateurs ne peuvent pas raccourcir les durées de rétention. Contrôle 4 : les clés de chiffrement sont sous votre contrôle Ce qu’il faut vérifier : les données réglementées sont chiffrées au repos et en transit dans chaque environnement, et les clés sont gérées par l’organisation plutôt que par le seul fournisseur. Pourquoi c’est important : qui contrôle les clés contrôle l’accès. Les référentiels de souveraineté et de nombreux régulateurs attendent des organisations qu’elles gardent la maîtrise des clés des données sensibles, en particulier dans le cloud. À quoi ressemble une bonne pratique : Des clés gérées par l’organisation ou des modules matériels de sécurité (HSM) pour les données réglementées. Une gestion des clés située dans des juridictions autorisées. Des procédures documentées de rotation, de récupération et de révocation des clés. Une séparation entre les administrateurs des clés et les administrateurs du stockage. Contrôle 5 : l’accès suit le principe du moindre privilège et est cloisonné entre environnements Ce qu’il faut vérifier : l’accès aux données réglementées et à l’administration du stockage repose sur des rôles, une authentification forte et des revues régulières, et les identifiants d’un environnement ne permettent pas de détruire des données dans un autre. Pourquoi c’est important : les comptes administrateurs compromis sont la voie la plus fréquente vers une perte massive de données. Les régulateurs attendent des revues d’accès et une séparation des tâches. À quoi ressemble une bonne pratique : Une authentification multifacteur pour tous les accès d’administration. Des identités d’administration distinctes pour le stockage sur site, le stockage cloud et les systèmes de sauvegarde. Des revues d’accès trimestrielles avec des résultats documentés. Des accès de support fournisseur contrôlés et journalisés. Contrôle 6 : les journaux d’audit sont complets, protégés et centralisés Ce qu’il faut vérifier : les accès aux données, les actions d’administration et les modifications de configuration sont journalisés dans chaque environnement, protégés contre l’altération, conservés pendant la durée requise et transmis à la supervision de sécurité centrale. Pourquoi c’est important : les auditeurs et les enquêteurs doivent pouvoir reconstituer qui a fait quoi, et où. Une journalisation incohérente entre environnements crée des angles morts. À quoi ressemble une bonne pratique : Des journaux d’accès et d’administration au niveau du stockage activés sur site et dans le cloud. Des journaux écrits sur un stockage immuable et conservés selon la politique. Une supervision centralisée avec des alertes sur les schémas inhabituels de suppression ou d’accès. Une durée de conservation des journaux alignée sur les exigences réglementaires. Contrôle 7 : la reprise et la réversibilité sont testées, pas supposées Ce qu’il faut vérifier : l’organisation peut restaurer ses données réglementées après la perte d’un site, une panne fournisseur ou une attaque par ransomware, et peut sortir ses données de n’importe quel environnement si nécessaire, avec des tests pour le prouver. Pourquoi c’est important : les règles de résilience opérationnelle, comme DORA pour les entités financières de l’UE, exigent des sauvegardes et des restaurations testées, ainsi que des stratégies de sortie pour les prestataires TIC critiques. Les plans non testés échouent au moment où l’on en a besoin. À quoi ressemble une bonne pratique : Des objectifs de reprise documentés par classe de données. Des tests de restauration réguliers depuis chaque environnement, y compris depuis les copies immuables. Au moins un exercice de reprise grandeur nature par an pour les services critiques. Des procédures de sortie documentées et testées, reposant sur des interfaces ouvertes comme S3. Utiliser la checklist Menez les sept contrôles comme une revue structurée : Évaluez chaque contrôle : respecté, partiellement respecté ou non respecté, preuves à l’appui. Priorisez les écarts selon le risque : les données secondaires hors des emplacements autorisés et les sauvegardes modifiables passent généralement en premier. Désignez un responsable pour chaque correction, car les écarts hybrides tombent souvent entre deux équipes. Renouvelez la revue au moins une fois par an et après tout changement majeur, comme un nouveau service ou une nouvelle région cloud. Un exemple concret Prenons un assureur européen de taille moyenne qui exploite ses systèmes de sinistres et de contrats sur site, avec l’analytique et les portails clients dans le cloud public. Une revue fondée sur les sept contrôles pourrait révéler les points suivants : Contrôle 1 : les dossiers de sinistres et les enregistrements d’appels sont classifiés comme réglementés, mais un nouveau jeu de données analytique construit à partir d’eux n’a aucune classification. Correction : classifier les jeux de données dérivés avec leurs sources. Contrôle 2 : les sauvegardes nocturnes de la base des contrats sont répliquées par défaut dans une région cloud hors UE. Correction : limiter la réplication aux régions UE approuvées et le documenter. Contrôle 3 : les archives sur site utilisent Object Lock, mais pas les copies de sauvegarde dans le cloud. Correction : activer Object Lock en mode conformité sur le bucket de sauvegarde cloud. Contrôle 4 : les données cloud sont chiffrées avec des clés gérées par le fournisseur. Correction : passer les buckets réglementés sur des clés gérées par l’organisation. Contrôle 5 : le compte administrateur des sauvegardes peut supprimer à la fois les copies sur site et dans le cloud. Correction : séparer les identités et exiger une validation pour toute modification de rétention. Contrôle 6 : les journaux d’accès au stockage cloud ne sont pas envoyés à la supervision centrale. Correction : les intégrer et les conserver selon la politique. Contrôle 7 : les restaurations n’ont été testées que sur site. Correction : planifier un test de restauration depuis la copie cloud et documenter une procédure de sortie. Aucune de ces corrections n’est coûteuse, mais ensemble elles transforment une architecture hybride conforme sur le papier en une architecture qui résiste à un audit. Spécificités régionales Les contrôles s’appliquent partout, mais les détails varient. Les organisations européennes se concentrent sur les transferts au titre du RGPD, sur DORA et sur NIS2. En France et en Allemagne, les organismes publics se réfèrent à SecNumCloud et à C5. Au Royaume-Uni, les organisations s’alignent sur les recommandations du NCSC et des régulateurs sectoriels. Aux États-Unis, les contrôles sont rattachés à des référentiels sectoriels comme SEC, FINRA, HIPAA, CJIS ou FedRAMP. Au Japon et aux Émirats arabes unis, les organisations ajoutent souvent une stricte localisation nationale des données publiques et de santé. Tenez une annexe par pays à la checklist pour ces spécificités. En résumé La conformité du stockage cloud hybride se résume à sept questions : savez-vous quelles données vous détenez, chaque copie est-elle au bon endroit, les archives et les sauvegardes sont-elles immuables, maîtrisez-vous les clés, l’accès est-il strict et cloisonné, les journaux sont-ils complets et centralisés, et avez-vous testé la reprise et la réversibilité ? Répondez-y preuves à l’appui pour chaque environnement, comblez les écarts entre équipes et procédez à des revues régulières. Votre environnement hybride devient alors défendable en toute confiance face aux auditeurs et aux régulateurs. Questions fréquentes Qu’est-ce que la conformité du stockage cloud hybride ? C’est le fait de garantir que les données stockées dans des environnements sur site et cloud respectent les exigences réglementaires, de protection des données et de sécurité, où qu’elles se trouvent. Quel est l’écart de conformité hybride le plus fréquent ? Les données secondaires, comme les sauvegardes, les répliques, les journaux et la télémétrie, qui se retrouvent hors des emplacements autorisés ou sans le même niveau de protection que les données primaires. Les copies cloud doivent-elles aussi être immuables ? Oui. Si des archives réglementées ou des sauvegardes sont copiées dans le cloud, ces copies doivent être protégées aussi rigoureusement que les copies sur site. Qui doit être responsable de la conformité du stockage hybride ? Un responsable nommément désigné pour l’ensemble du dispositif, avec des responsabilités claires pour chaque contrôle entre les équipes stockage, sécurité, cloud et conformité. À quelle fréquence faut-il revoir la conformité du stockage hybride ? Au moins une fois par an, et après tout changement majeur comme de nouveaux services cloud, de nouvelles régions ou de nouvelles réglementations. Pour aller plus loin Stockage cloud hybride pour les secteurs réglementés Stockage objet pour le secteur public Data compliance framework (en anglais) Storage audit trail (en anglais) Hybrid cloud backup (en anglais)
